authentication - 客户端私钥设置为客户端证书身份验证的一部分

Question

我在看this example ，并且我可以看到，作为客户端身份验证的一部分，用户应该将持有用于证书签名请求的私钥的 --key 传递给 curl 命令，我不确定如果它用于加密，为什么需要它不应该要使用的服务器的公钥？

Answer 1

拥有证书本身并不能证明任何事情。证书从不保密，可以自由共享，因此多方可以拥有有效的客户端证书。
作为具有相互身份验证的 TLS 握手的一部分，客户端发送 CertificateVerify消息以证明它还具有与它在 Certificate 中发送的证书匹配的私钥之前留言。由于 TLS 服务器已经拥有客户端的证书(以及它的公钥)，它可以验证签名。